Norges personvernmyndighet har ilagt det Microsoft-eide reklameselskapet Xandr en bot på 92 millioner kroner, tilsvarende omtrent 9,6 millioner dollar, for ulovlig behandling og deling av opplysninger om Grindr-brukere. GDPR-boten mot Xandr er den største overtredelsesboten Datatilsynet i Norge noensinne har ilagt.
Datatilsynet opplyste at lovbruddene berørte tusenvis av norske brukere. Funnene gjelder annonsevirksomhet mellom juli 2018 og april 2020, før Microsoft kjøpte Xandr.
Annonseauksjoner eksponerte sensitive opplysninger
I perioden som ble undersøkt, administrerte Xandr annonseauksjoner i sanntid i Grindr, en stedsbasert datingapp som hovedsakelig retter seg mot LHBTQ+-personer.
I disse auksjonene mottok annonsører profileringsinformasjon før de la inn bud på å vise en annonse. Xandr fungerte som mellomledd mellom appen og de deltakende reklameselskapene.
Ifølge Datatilsynet kan prosessen ha eksponert personopplysninger for tusenvis av virksomheter. Informasjonen omfattet sensitive opplysninger om brukernes seksuelle orientering.
Tilsynet fastslo at denne delingen skjedde uten det uttrykkelige samtykket som var nødvendig for behandlingen.
Xandr unnlot å kontrollere brukernes samtykke
Datatilsynet konkluderte med at Xandr fungerte som felles behandlingsansvarlig sammen med Grindr. Dette innebar at reklameselskapet delte ansvaret for hvordan personopplysningene ble brukt.
Xandr baserte seg imidlertid på en antakelse om at Grindr hadde innhentet gyldig samtykke. Selskapet kontrollerte ikke denne antakelsen og etablerte heller ikke et lovlig behandlingsgrunnlag for sin egen behandling, ifølge tilsynet.
Dermed konkluderte Datatilsynet med at Xandr ikke hadde oppfylt sitt ansvar ved håndteringen av sensitive opplysninger.
Datatilsynet begrunnet botens størrelse med alvorlighetsgraden av lovbruddene og konsekvensene for tusenvis av brukere.
Personvernorganisasjoner ønsker GDPR-boten mot Xandr velkommen
Beslutningen følger en klage som personvernorganisasjonen noyb og Forbrukerrådet sendte inn i januar 2020.
Begge organisasjonene stilte spørsmål ved håndteringen av Grindr-brukernes opplysninger innenfor annonseøkosystemet. Etter vedtaket ønsket noyb boten velkommen som et viktig skritt mot å holde annonseteknologiselskaper ansvarlige.
Organisasjonen kritiserte også praksiser som gjør det mulig for sensitive opplysninger å sirkulere mellom apper, nettsteder og annonseplattformer uten gyldig samtykke.
Datatilsynets funn fremhever et sentralt spørsmål i saken: En annonseformidler kan ikke bare anta at et annet selskap har innhentet de nødvendige tillatelsene.
Microsoft sier at forholdene fant sted før oppkjøpet
Xandr opererer nå som Microsoft Advertising. Microsoft understreket imidlertid at etterforskningen gjelder forhold som fant sted før selskapet kjøpte virksomheten.
Selskapet opplyste også at juridiske rammeverk, tolkninger og håndhevingspraksis har endret seg siden perioden som omfattes av undersøkelsen.
Microsoft gjennomgår vedtaket og vurderer sine alternativer. Samtidig har Xandr tre uker på seg til å klage på avgjørelsen fra det norske Datatilsynet.
0 responses to “Xandr får GDPR-bot på 9,6 millioner dollar for deling av Grindr-data”